アドレス更新装置およびその方法
【課題】 システムに対する不正アクセスを有効に排除する。
【解決手段】 サーバ２は、正当にアクセスするＰＣ１０２からの要求に応じて、様々なサービスを提供する。また、サーバ２は、サーバプログラム２０は、所定のタイミングで、ネットワークシステム１０におけるマイグレーション処理を行い、不正なＰＣ１０４による不正なサーバ２へのアクセスを排除する。このマイグレーション処理により、正当にサーバ２にアクセスするＰＣ１０２が、サーバ２へのデータのアップリンクのために用いるＩＰアドレスの更新のみが行われ、不正にサーバ２にアクセスするＰＣ１０４へのＩＰアドレスの更新が行われずに、正当なＰＣ１０２によるサーバ２へのアクセスのみの継続が許される。
【解決手段】 サーバ２は、正当にアクセスするＰＣ１０２からの要求に応じて、様々なサービスを提供する。また、サーバ２は、サーバプログラム２０は、所定のタイミングで、ネットワークシステム１０におけるマイグレーション処理を行い、不正なＰＣ１０４による不正なサーバ２へのアクセスを排除する。このマイグレーション処理により、正当にサーバ２にアクセスするＰＣ１０２が、サーバ２へのデータのアップリンクのために用いるＩＰアドレスの更新のみが行われ、不正にサーバ２にアクセスするＰＣ１０４へのＩＰアドレスの更新が行われずに、正当なＰＣ１０２によるサーバ２へのアクセスのみの継続が許される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データの送信先アドレスを更新するアドレス更新装置およびその方法に関する。
【背景技術】
【０００２】
クライアントコンピュータと、サーバコンピュータとがネットワークを介して接続され、クライアントコンピュータからの要求に応じて、サーバコンピュータが、様々なサービスを提供するクライアントサーバシステムが一般的に利用されている。
このようなシステムにおいて、不正なユーザが、サーバコンピュータへアクセスする可能性がある。
例えば、特許文献１などにより、このような不正アクセスを排除するための方法が、数多く開示されている。
しかしながら、特許文献１に開示された方法では、不正アクセスがあったときに、サービスやポートが一時、閉じられてしまうので、正当なユーザも、サービスを受けられなくなってしまう。
【０００３】
また、非特許文献１は、複数の下層トランスポートを、動的または静的に束ねて仮想的な一つの回線として見せる標準的なインターネットプロトコル（ＲＦＣ２９６０；ＳＣＰＴ）を開示する。
このプロトコルの主な目的は冗長性の強化であり、非特許文献１においては、セキュリティに関する要件の記述もあるが、セキュリティと、帯域制限とを連動させて切換えるための具体的な方法は開示してない。
【特許文献１】特開２００５−２０２７１１号公報
【非特許文献１】http://www.ietf.org/rfc/rfc2960.txt
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は、上述した背景からなされたものであり、システムに対する不正アクセスを有効に排除することができるように工夫されたアドレス更新装置およびその方法を提供することを目的とする。
また、本発明は、さらに、正当なユーザに対するサービスの提供を継続しつつ、不正アクセスを排除することができるように工夫されたアドレス更新装置およびその方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明にかかるアドレス更新装置は、送信先アドレスにデータ送信する１つ以上の送信ノードが正当な送信ノードであるか否かの判断に基づいて前記送信ノードの送信先アドレスを更新させる送信先アドレス更新手段を有する。
【０００６】
また、本発明にかかる通信システムは、送信先アドレスにデータ送信する１つ以上の送信ノードと、前記送信されたデータを受信する１つ以上の受信ノードと、それぞれ前記送信先アドレスを有し、前記送信ノードからのデータを受けて、前記受信ノードのいずれかに対して送信する１つ以上の中間ノードと、アドレス更新装置とを有する通信システムであって、前記アドレス更新装置は、前記中間ノードのいずれかの送信先アドレス更新と、前記送信ノードが正当な送信ノードであるか否かの判断に基づいてこの中間ノードとデータ送信を行う前記送信ノードの送信先アドレスの選択的更新とを行う送信先アドレス更新手段を有する。
【０００７】
また、本発明にかかるアドレス更新方法は、送信先アドレスにデータ送信する１つ以上の送信ノードが正当な送信ノードであるか否かの判断に基づいて前記送信ノードの送信先アドレスを更新させる送信先アドレス更新ステップを有する。
【０００８】
また、本発明にかかるアドレス更新プログラムは、送信先アドレスにデータ送信する１つ以上の送信ノードが正当な送信ノードであるか否かの判断に基づいて前記送信ノードの送信先アドレスを更新させる送信先アドレス更新ステップをコンピュータに実行させる。
【発明の効果】
【０００９】
本発明にかかるアドレス更新装置およびその方法によれば、システムに対する不正アクセスを有効に排除することができる。
また、本発明にかかるアドレス更新装置およびその方法によれば、さらに、正当なユーザに対するサービスの提供を継続しつつ、不正アクセスを排除することができる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の実施形態を説明する。
【００１１】
［不正アクセス］
まず、本発明において重要な概念となる「不正アクセス」を説明する。
不正アクセスは、具体的には、以下のように定義されうる。
（１）セットアップセッション(setup session)なしのサーバコンピュータなどへのアクセス（例えば、いわゆるＤｏＳ(Denial of Service)およびサービス妨害といったアクセス）、および、
（２）セットアップセッションを通じたアクセスであっても、サーバコンピュータなどに、不正なデータ（例えば、送金金額の改ざんなどのためのデータ）を送りつけるようなアクセス。
【００１２】
実際には、アクセス元の意図そのものは、直接には知ることができないので、通常、アクセスの挙動その他の属性などから、各アクセスが、上記のような不正アクセスであるか否かが判断される。
従って、不正アクセスであることが疑われるが、間違いなく不正アクセスであると断定まではできないアクセスが存在するという事態が起こりえる。
どの程度疑わしいアクセスまでが、不正アクセスと判断されるかは、具体的なシステムを構成する際の各種の必要性などに応じて、個別に決定されるべき事項である。
また、このようにして不正アクセスであると判断されたアクセス、また、そのアクセス元について、本願発明にかかるシステムにおいては、更に細分したカテゴリが設けられうる。
たとえば、その疑わしさの程度が比較的小さいカテゴリに属するアクセスなどについては、より詳細な検証が行われうる。
【００１３】
［第１のネットワークシステム１０］
図１は、本発明にかかるアドレス変更方法が適用される第１のネットワークシステム１０の構成を例示する図である。
図１に示すように、第１のネットワークシステム１０は、サーバ２と通信し、サービスの提供を受けるクライアントコンピュータ（ＰＣ）１０２−１〜１０２−ｎ，１０４とが、ＬＡＮ，ＷＡＮなどのネットワーク１００を介して接続されて構成される。
なお、ｎは、１以上の整数を示すが、常に同じ数であるとは限らない。
以下、ＰＣ１０２−１〜１０２−ｎなど、複数あり得る構成部分のいずれかが、特定せずに示されるときには、単にＰＣ１０２などと略記されることがある。
また、以下、ネットワークシステムにおいて、情報処理および通信の主体となりうる装置は、ノードと総称されることがある。
また、以下の各図において、実質的に同じ構成部分には、同じ符号が付される。
【００１４】
以下、説明の具体化および明確化のために、ネットワークシステム１０などにおいて、ＰＣ１０２が正当にサーバ２にアクセスし、クライアントコンピュータ（ＰＣ）１０４が不正にサーバ２にアクセスする場合が具体例とされる。
第１のネットワークシステム１０は、これらの構成部分により、所定のタイミングで、正当なＰＣ１０２のみに対して、サーバ２にデータを送信（アップリンク）するための送信先アドレスの変更を行い、ＰＣ１０４によるサーバ２への不正なアクセスを排除する。
【００１５】
［ハードウエア］
図２は、図１に示したネットワークシステム１０を構成するノードのハードウエアを例示する図である。
図２に示すように、ネットワークシステム１０に含まれるノードは、ＣＰＵ１２２およびメモリ１２４などを含む本体１２０、表示装置およびキーボードなどを含む入出力装置１２６、ネットワーク１００との間の通信のために用いられるネットワークインターフェース（ネットワークＩＦ）１２８、および、ＨＤＤ，ＣＤ，不揮発性メモリなどの記録装置１３０から構成される。
つまり、第１のネットワークシステム１０の各ノードは、情報処理および他のノードとの通信が可能なコンピュータとしての構成部分を有している（図５の参照により後述される第２のネットワークシステム１４の各ノードについても同様）。
【００１６】
［ソフトウエア］
図３は、図１に示したサーバ２において実行されるサーバプログラム２０の構成例を示す図である。
図３に示すように、サーバプログラム２０は、通信処理部２００、サービス提供部２２、マイグレーション部２４およびＱｏＳ(Quality of Service)制御部２６から構成される。
マイグレーション部２４は、送信先アドレス更新部２４０、送信先アドレス管理部２４２、送信先アドレスデータベース（送信先アドレスＤＢ）２４４、送信先アドレス通知部２４６およびスケジューリング部２４８から構成される。
ＱｏＳ制御部２６は、ＱｏＳ制御実行部２６０およびＱｏＳ規則管理部２６２から構成される。
【００１７】
サーバプログラム２０は、例えば、ネットワークインターフェース１２８あるいは記録媒体１３２を介してサーバ２に供給され、メモリ１２４にロードされ、サーバ２にインストールされたＯＳ（図示せず）上で、サーバ２のハードウエア資源を具体的に利用して実行される。
サーバプログラム２０は、これらの構成部分により、正当にサーバ２にアクセスするＰＣ１０２からの要求に応じて、様々な機能を提供する。
【００１８】
また、サーバプログラム２０は、所定のタイミングで、ネットワークシステム１０におけるマイグレーション処理を行い、不正なＰＣ１０４による不正なサーバ２へのアクセスを排除する。
ネットワークシステム１０におけるマイグレーション処理とは、正当にサーバ２にアクセスするＰＣ１０２が、サーバ２へのデータのアップリンクのために用いる送信先アドレスの更新のみを行い、不正にサーバ２にアクセスするＰＣ１０４への送信先アドレスの更新を行わずに、正当なＰＣ１０２によるサーバ２へのアクセスのみを継続させるアドレス更新処理を指す。
この「マイグレーション」という用語は、送信先アドレスの「移行」といった意味を有し、ネットワークマイグレーションといったように、データ通信および情報処理の分野において、一般的に用いられる。
【００１９】
なお、マイグレーション処理により、不正アクセスを行っているＰＣ１０４、または、その疑いのあるＰＣ１０４が用いる送信先アドレスを、偽の送信先アドレスに更新してもよい。
また、これらのようなＰＣ１０４の送信先アドレスを、より詳細な確認を行うための検疫用送信先アドレスに更新し、検疫用送信先アドレスに、これらのようなＰＣ１０４からの送信データを誘導することもできる。
また、さらに、マイグレーション処理において、上述の２種類の更新処理（偽の送信先アドレスへの更新、および、検疫用送信先アドレスへの更新）は組み合わされうる。
【００２０】
送信先アドレスの更新のためには、具体的には、ＩＰアドレスとポート番号の組み合わせが変更される。ＩＰアドレスとポート番号はペアとして扱われる。
例えば、ＩＰｖ４においては、15.1.2.3:5000, 15.1.2.3:5001, 15.1.2.4:5000 といったような空間からの割り当てが行われる。
また、例えば、ＩＰｖ６においては、ＩＰアドレスの部分が、１２８ビットアドレスに変わるだけで、ポート番号の扱いは、ＩＰｖ４の場合と同様である。
以下の説明においては、基本的にはＵＤＰプロトコルが想定され、ＩＰアドレスとポート番号のペアとして、ＩＰアドレスとＵＤＰポート番号のペアが用いられる。
但し、ＵＤＰプロトコルにおいては、上記具体例は 15.1.2.3:5000/udp といった値となる。
同様に、ＴＣＰプロトコル等、ポート番号の概念を持つその他のプロトコルにおいては、ＩＰアドレスとポート番号のペアとして、ＩＰアドレスと当該プロトコルにおけるポート番号（TCPの例ではＴＣＰポート番号）のペアが用いられる。
【００２１】
サーバプログラム２０において、通信処理部２００は、ＰＣ１０２，１０４が、マイグレーション部２４により指定されたアップリンクのためのＩＰアドレスおよびポート番号を用いて、ネットワーク１００を介して送ってきたデータを受信し、サービス提供部２２に対して出力する。
また、通信処理部２００は、同様に、ＰＣ１０２，１０４への（ダウンリンクされる）データを、ネットワーク１００を介してこれらのノードに対して送信する。
【００２２】
また、通信処理部２００は、ＰＣ１０２，１０４の接続情報を、マイグレーション部２４に対して出力する。
この接続情報には、属性情報、グループ分け情報およびプロクシサーバ情報などが含まれる。
属性情報は、ＰＣ１０２，１０４に付された優先順位などを示す。
また、グループ分け情報は、ＰＣ１０２，１０４がグループ分けされているときに、これらのノードそれぞれが、いずれのグループに属するかを示す。
また、プロクシサーバ情報には、ＰＣ１０２，１０４が、プロクシサーバ（図５の参照により後述）を介してサーバ２に接続されているときには、いずれのＰＣ１０２，１０４が、いずれのプロクシサーバに接続されているかを示す。
なお、プロクシサーバが用いられるときには、送信先アドレス（ＩＰアドレスおよびポート番号）が、プロクシサーバに割り当てられ、このプロクシサーバは、リバースプロクシサーバとなる。
このようなときには、通信処理部２００は、プロクシサーバ上と、その背後のサーバにまたがって存在するように見える。
【００２３】
サービス提供部２２は、例えば、Ｗｅｂサーバ、データベースサーバあるいはゲームサーバとしてのサービス機能を実現し、ＰＣ１０２，１０４からの要求に応じて、これらのノードに対して、サービス機能を継続的に提供する。
また、サービス提供部２２は、ＰＣ１０４からの不正アクセスを検出し、不正アクセスの発生を、マイグレーション部２４に対して通知する。
【００２４】
スケジューリング部２４８は、時計機能（図示せず）やパケット計数機能（図示せず）を有し、時計機能により得られる時刻情報と、通信処理部２００から入力されるＰＣ１０２，１０４の接続情報を用いて、マイグレーション処理をスケジューリングし、スケジューリングしたタイミングで、マイグレーション部２４の他の構成部分を制御し、マイグレーション処理を実行させる。
スケジューリング部２４８がマイグレーション処理を実行させるタイミングは、例えば、一定の時間間隔のタイミングで、一定の時刻となったタイミング、あるいは、サービス提供部２２により不正アクセスイベントが検出されたタイミング、一定個数以上のパケットがやりとりされたタイミングなどである。
【００２５】
なお、ＰＣ１０２，１０４が複数あるときには、スケジューリング部２４８は、マイグレーション部２４の他の構成部分に、たとえばサーバに接続を求めてきた順序などのサーバ２の管理者により予め設定された方式に基づく順序で、ＰＣ１０２、１０４それぞれに対する送信先アドレスの更新を行わせる。
あるいは、ＰＣ１０２，１０４が複数あり、これらのノードがグループ分けされているときには、スケジューリング部２４８は、マイグレーション部２４の他の構成部分に、グループごとに、サーバ２の管理者により予め設定された方式に基づく順序で、ＰＣ１０２，１０４それぞれに対するマイグレーション処理を実行させる。
また、ＰＣ１０２，１０４が複数あり、１つ以上のＰＣ１０２，１０４が、１つ以上のプロクシサーバそれぞれを介してサーバ２に接続されるときには、プロクシサーバそれぞれに接続されたＰＣ１０２、１０４ごとに、マイグレーション処理を実行させる。
【００２６】
ここで、不正なＰＣであるはずのＰＣ１０４が、正当なＰＣ１０２と同等に取り扱われている理由は、以下の２つの場合を想定したためである。
（１）不正なＰＣが、何らかの手段で入手された認証情報により認証が獲得されたり、それ以外の手法により認証を潜り抜けたりすることにより、正当なＰＣのように見える状態になってから、不正なアクセスを行う場合、あるいは、
（２）このようなＰＣが、不正なアクセスを始めているのだがまだそれと判断されていない場合。
【００２７】
送信先アドレス管理部２４２は、サーバ２が通信のために使用しうる未使用のＩＰアドレスおよびポート番号、および、サーバ２が通信のために使用している使用済みのＩＰアドレスおよびポート番号を、送信先アドレスＤＢ２４４に記憶し、管理する。
また、送信先アドレス管理部２４２は、送信先アドレスＤＢ２４４に記憶した未使用および使用済みのＩＰアドレスおよびポート番号を、マイグレーション部２４の他の構成部分の処理の用に供する。
なお、送信先アドレス管理部２４２は、ＰＣ１０２，１０４とサーバ２との間がプロクシサーバを介して接続されるときには、プロクシサーバの使用済みのＩＰアドレスおよびポート番号と、未使用のＩＰアドレスおよびポート番号とを、送信先アドレスＤＢ２４４に記憶し、管理する。
【００２８】
送信先アドレス更新部２４０は、スケジューリング部２４８によるスケジューリングに従って、ＰＣ１０２からサーバ２へのデータのアップリンクのために用いられる送信先アドレス、すなわちＩＰアドレスおよび使用されるトランスポートプロトコルが用いるポート番号、例えばＵＤＰポート番号やＴＣＰポート番号、を更新する。
つまり、送信先アドレス更新部２４０は、スケジューリング部２４８が示すタイミングで、未使用のＩＰアドレスおよびポート番号を選択し、ＰＣ１０２からサーバ２へのデータのアップリンクに対して割り当てられているＩＰアドレスおよびポート番号を、選択したＩＰアドレスおよびポート番号に置換する。
さらに、送信先アドレス変更部２４０は、ＩＰアドレスおよびポート番号の更新後、一定期間が経過すると、更新前のＩＰアドレスおよびポート番号を無効とし、通信処理部２００が、これらを用いてのデータのアップリンクを受けないようネットワークを設定する。
送信先アドレス通知部２４６は、送信先アドレス更新部２４０が、ポート番号・ＩＰアドレスを更新したときに、更新されたＩＰアドレス・ポート番号を、正当なＰＣ１０２のみに通知し、不正なＰＣ１０４に通知しない。
【００２９】
データのアップリンクを受けないようにネットワークを設定するためには、具体的には、ネットワーク１００におけるパケットの経路に存在するファイアウォールなどのネットワーク機器の通過許可設定が取り除かれ、パケットが阻止されるようにする。
つまり、ファイアウォールが入った構成で、新規の送信先アドレスを割り当てるときには、その都度、新規の送信アドレスに関しての通過許可設定を行うという処理が必要になる。
さらに概念的に説明すると、例えば、ファイアウォールなどのネットワーク機器は、デフォルトでは、全てのパケットを通過させないように設定され、ある一定期間だけ許可された穴を通って、パケットがサーバに伝送され、送信アドレスが変更された後には、以前にあけた穴が段階的にＱｏＳ設定により狭められていき、最終的には穴がふさがれることで、通過許可設定が取り除かれる。
【００３０】
ＱｏＳ制御部２６のＱｏＳ規則管理部２６２は、ＱｏＳ制御実行部２６０によるＱｏＳ制御の実行のために用いられる規則を記憶し、ＱｏＳ制御実行部２６０に対して出力する。
ＱｏＳ規則管理部２６２が管理する規則は、少なくとも以下（規則１），（規則２）を含む。
（規則１）ＩＰアドレスの更新に伴う制限がないときに、ＰＣ１０２，１０４からサーバ２へのデータのアップリンクのために用いられる伝送帯域（伝送帯域＃１）およびコネクション数（コネクション数＃１）、および、
（規則２）ＩＰアドレスの更新に伴う制限があるときに、ＰＣ１０２，１０４からサーバ２へのデータのアップリンクのために用いられる伝送帯域（伝送帯域＃２＜伝送帯域＃１）およびコネクション数（コネクション数＃２＜コネクション数＃１）。
【００３１】
ＱｏＳ制御実行部２６０は、ＰＣ１０２，１０４とサーバ２との間に存在するネットワーク１００に含まれる各種ネットワーク装置（図示せず）に対する制御を、適宜行う。
つまり、ＱｏＳ制御実行部２６０は、帯域制限装置の動的な設定変更、および、ファイアウォールの動的なポート制御などを行うための指示を、ネットワーク１００中のネットワーク装置に対して、適宜、命令し、実際のパケット処理は行わない。
具体的には、ＱｏＳ制御実行部２６０は、送信先アドレスの更新に伴う制限がないときに、上記ＱｏＳ規則１に従って、ＰＣ１０２，１０４からサーバ２へのデータがアップリンクされるように、ネットワーク１００中のネットワーク装置を制御する。
また、ＱｏＳ制御実行部２６０は、送信先アドレスが更新されてから一定期間が経過するまでの間だけ、上記ＱｏＳ規則２に従って、ＰＣ１０２，１０４からサーバ２へのデータがアップリンクされるように、ネットワーク１００中のネットワーク装置を制御する。
【００３２】
［第１のネットワークシステム１０の全体的な動作］
以下、第１のネットワークシステム１０の全体的な動作を説明する。
図４は、図１などに示した第１のネットワークシステム１０における送信先アドレスの更新処理（Ｓ１０）を示す通信シーケンス図である。
図４に示すように、まず、サーバ２と、ＰＣ１０２との間で、適切な方法により認証が行われる。
【００３３】
ステップ１００（Ｓ１００）において、サーバ２と、ＰＣ１０２，１０４との間で、ＱｏＳ規則１に従ってデータのアップリンクおよびダウンリンクでのデータの送受信が行われ、帯域制限およびコネクション数の制限なしに通信が行われる。
この通信の際に、サービス提供部２２において、不正アクセスの検出、判断が同時に行われる。
また、複数のアクセスのパターンから不正アクセスであるか否かの判断を行うなどの場合には、この判断は必ずしもステップ１００（Ｓ１００）と同時とはならないが、いずれにせよ、この判断は、通常はステップ１００（Ｓ１００）と並行して継続的に行われる。
不正アクセスの検出、判断は、また認証の要求自体や認証なしに行われる各種のアクセスの試行に対しても、継続的に行われる。
【００３４】
ステップ１０２（Ｓ１０２）において、サーバ２上で動作するサーバプログラム２０（図３）のスケジューリング部２４８により、マイグレーション処理がスケジューリングされる。
ステップ１０４−１〜１０４−ｎ（Ｓ１０４−１〜Ｓ１０４−ｎ）において、送信先アドレス更新部２４０により、正当なＰＣ１０２−１〜１０２−ｎからサーバ２へのアップリンクのために用いられるＩＰアドレスおよびポート番号が更新される。
さらに、送信先アドレス通知部２４６により、正当なＰＣ１０２−１〜１０２−ｎに対してのみ、更新されたＩＰアドレスおよびポート番号が通知され、不正なＰＣ１０４に対しては、更新されたＩＰアドレスやポート番号は通知されない。
ＰＣ１０２−１〜１０２−ｎは、順次、サーバ２に対するデータのアップリンクのために、更新後のＩＰアドレスとポート番号のペアを使用する。
【００３５】
ステップ１０６（Ｓ１０６）において、ＱｏＳ制御実行部２６０により、一定期間、ＱｏＳ規則２に従って、更新前の送信先ＩＰアドレスおよびポート番号を用いたＰＣ１０２，１０４からサーバ２へのアップリンクの帯域およびコネクション数が制限される。
一方、ＱｏＳ制御実行部２６０により、この一定期間においても、更新後の送信先ＩＰアドレスおよびポート番号を用いたＰＣ１０２からサーバ２へのアップリンクの帯域およびコネクション数は制限されない。
また、ＱｏＳ制御実行部２６０により、この一定期間においても、サーバ２からＰＣ１０２，１０４へのダウンリンクの帯域およびコネクション数は制限されないが、必要に応じて、ＱｏＳ制御実行部２６０を、この期間に帯域およびコネクションの制限を行うように構成することも可能である。
【００３６】
ステップ１０８（Ｓ１０８）において、ＱｏＳ制御実行部２６０により、一定期間経過後、ＱｏＳ規則３に従って、更新前の送信先アドレスが無効とされ、これを用いたＰＣ１０２，１０４からサーバ２へのアップリンクが禁止される。
従って、更新後の送信先アドレスを用いた正当なＰＣ１０２−１〜１０２−ｎからサーバ２へのデータのアップリンク、および、サーバ２からＰＣ１０２−１〜１０２−ｎへのデータのダウンリンクは、帯域およびコネクションの制限なしに行われる。
一方、不当なＰＣ１０４からサーバ２へのデータのアップリンクは不可能となる。
ステップ１１０（Ｓ１１０）において、サーバ２と不正なＰＣ１０４との間のコネクションが切断される。
なおＳ１０８，Ｓ１１０の処理においては、既に述べたように、ネットワーク１００中のネットワーク機器に、デフォルトでは、全てのパケットを通過させないような設定がなされ、必要に応じて、ネットワーク機器に、新規にパケットの通過を許可する設定が追加されて行き、時間がたつと古い通過ルールが削除される。
【００３７】
［第２のネットワークシステム１４］
以下、第１のネットワークシステム１０の変形例として、第２のネットワークシステム１４を説明する。
図５は、本発明にかかるアドレス変更方法が適用される第２のネットワークシステム１４の構成を例示する図である。
図５に示すように、ネットワークシステム１４は、ＰＣ１０２−１〜１０２−ｎ，１０４−１〜１０４−ｎが接続された第１のネットワーク１００−１と、サーバ１０６−１〜１０６−ｎおよびマイグレーションサーバ３が接続された第２のネットワーク１００−２とが、プロクシサーバ１０８−１〜１０８−ｎおよび１台以上のファイアウォール１１０を介して接続されて構成される。
ネットワークシステム１４は、ＰＣ１０２−１〜１０２−ｎ，１０４−１〜１０４−ｎそれぞれが、ファイアウォール１１０を介して、プロクシサーバ１０８−１〜１０８−ｎそれぞれに設定されたデータのアップリンク用のＩＰアドレスおよびポート番号を用いて、サーバ１０６−１〜１０６−ｎとの間で通信を行い、サービスの提供を受けるように構成されている。
【００３８】
ネットワークシステム１４のファイアウォール１１０は、プロクシサーバ１０８−１〜１０８−ｎに対して、第１のネットワーク１００−１からの不正アクセスを防ぐファイアウォールとしての機能を提供する。
ファイアウォールは、ネットワークの帯域制御装置としての役割をもつことも可能である。
プロクシサーバ１０８は、ＰＣ１０２，１０４とサーバ１０６との間で、キャッシュ機能などを提供する。
【００３９】
また、プロクシサーバ１０８は、それぞれ、マイグレーションサーバ３から、アップリンク用のＩＰアドレスおよびポート番号の設定を受け、このＩＰアドレスおよびポート番号を用いて、ＰＣ１０２，１０４とサーバ１０６との間を接続し、これらの間でデータを中継する。
なお、以下の説明においては、ファイアウォールが、通信の遮断を行う場合を具体例とする。
一方、帯域制御は、実際には、ファイアウォール、プロクシサーバあるいはネットワーク１００自体のいずれが提供する機能によっても実現されうるが、以下の説明においては、ファイアウォールが、帯域制御も行う場合が具体例とされる。
【００４０】
サーバ１０６においては、それぞれサーバプログラム２０（図３）の通信処理部２００およびサービス提供部２２が実行される。
サーバ１０６は、ＰＣ１０２，１０４との間で通信を行い、要求に応じて、様々なサービスを提供する。
マイグレーションサーバ３においては、サーバプログラム２０の通信処理部２００、マイグレーション部２４およびＱｏＳ制御部２６が実行される。
マイグレーションサーバ３は、プロクシサーバ１０８およびＰＣ１０２、１０４それぞれに対するアップリンク用のＩＰアドレスおよびポート番号の更新を行う。
【００４１】
［第２のネットワークシステム１４の全体的な動作］
図６は、図５に示した第２のネットワークシステム１４の全体的な動作（Ｓ２０）を示す通信シーケンス図である。
なお、ネットワークシステム１４においては、任意のＰＣ１０２，１０４、サーバ１０６およびプロクシサーバ１０８の間でファイアウォール１１０を介して通信が行われうるが、説明の明確化および具体化のために、図６においては、サーバ１０６−ｉ（ｉは１〜ｎの整数）と、プロクシサーバ１０８−ｉと、ＰＣ１０２−ｉ，１０４−ｉとの間でファイアウォール１１０−ｉを介して通信が行われる場合が具体例とされている。
図４に示すように、まず、サーバ２と、ＰＣ１０２との間で、適切な方法により認証が行われる。また、不正なＰＣ１０４が、何らかの手段で入手した認証情報を使って認証を獲得したり、あるいはそれ以外の方法で認証を潜り抜けることがある。
ステップ２００−ｉ（Ｓ２００−ｉ）において、サーバ１０６−ｉと、ＰＣ１０２−ｉ，１０４−ｉとの間で、プロクシサーバ１０８−ｉを介して、ＱｏＳ規則１に従って、データのアップリンクおよびダウンリンクが行われ、帯域制限およびコネクション数の制限なしに通信が行われる。
この通信の際に、サービス提供部２２において、図４についての説明と同様に、不正アクセスの検出、判断が同時に行われる。
また、複数のアクセスのパターンから不正アクセスであるか否かの判断を行うなどの場合には、この判断は必ずしもステップ２００−ｉ（Ｓ２００−ｉ）と同時とはならないが、いずれにせよ、この判断は、通常、ステップ２００−ｉ（Ｓ２００−ｉ）と並行して継続的に行われる。
不正アクセスの検出・判断はまた、認証の要求自体や認証なしに行われる各種のアクセスの試行に対しても、継続的に行われる。
【００４２】
ステップ２０２−ｉ（Ｓ２０２−ｉ）において、マイグレーションサーバ３上で動作するサーバプログラム２０（図３）のスケジューリング部２４８により、マイグレーション処理がスケジューリングされる。
ステップ２０４−ｉ（Ｓ２０４−ｉ）において、送信先アドレス更新部２４０により、正当なＰＣ１０２−ｉからプロクシサーバ１０８−ｉへのデータのアップリンクに用いられるＩＰアドレスおよびポート番号が更新される。
【００４３】
また、送信先アドレス通知部２４６により、プロクシサーバ１０８−ｉに対して、更新されたＩＰアドレスおよびポート番号が通知される。
また、正当なＰＣ１０２−ｉに対してのみ、更新されたＩＰアドレスおよびポート番号が通知され、不正なＰＣ１０４−ｉに対しては、更新されたＩＰアドレスおよびポート番号は通知されない。
ＰＣ１０２−ｉは、プロクシサーバ１０８−ｉに対するデータのアップリンクのために、更新後のＩＰアドレスとポート番号のペアを使用する。
【００４４】
ステップ２０６−ｉ（Ｓ２０６−ｉ）において、ＱｏＳ制御実行部２６０により、一定期間、ＱｏＳ規則２に従って、更新前のＩＰアドレスとポート番号のペアを用いたＰＣ１０２−ｉ，１０４−ｉからプロクシサーバ１０８−ｉへのアップリンクの帯域およびコネクション数が制限される。
一方、ＱｏＳ制御実行部２６０により、この一定期間においても、ＱｏＳ規則３に従って、ファイアウォール１１０−ｉに更新後のＩＰアドレスとポート番号のペアを用いたプロクシサーバ１０８−iへの通信路が新規に開設される。
さらに、ＰＣ１０２−ｉからプロクシサーバ１０８−ｉへのアップリンクの帯域およびコネクション数は制限されない。
また、ＱｏＳ制御実行部２６０により、この一定期間においても、プロクシサーバ１０８−ｉからＰＣ１０２−ｉ，１０４−ｉへのダウンリンクの帯域およびコネクション数は制限されない。
【００４５】
ステップ２０８−ｉ（Ｓ２０８−ｉ）において、ＱｏＳ制御実行部２６０により、一定期間経過後、更新前のＩＰアドレスとポート番号のペアが無効とされ、ファイアウォール１１０−ｉにあけられていたこのペアに対応する通信路が閉じられる。
これを用いたＰＣ１０２−ｉ，１０４−ｉからプロクシサーバ１０８−ｉへのアップリンクが禁止される。
これにより、更新後のＩＰアドレスを用いた正当なＰＣ１０２−ｉからプロクシサーバ１０８−ｉへのデータのアップリンク、および、プロクシサーバ１０８−ｉからＰＣ１０２−ｉへのデータのダウンリンクは、帯域およびコネクションの制限なしに行われる。
一方、不正なＰＣ１０４−ｉからプロクシサーバ１０８−ｉへのデータのアップリンクは不可能となる。
ステップ２１０−ｉ（Ｓ２１０−ｉ）において、タイムアウトなどにより、プロクシサーバ１０８−ｉと不正なＰＣ１０４−ｉとの間のコネクションが切断される。
【００４６】
以上説明した本発明にかかるシステムは、不正クライアント、つまり、不正アクセスを行っている、または、そうであると疑われるクライアントに関して、図４に示したように、「更新後の送信先アドレスを不正クライアントに送信しない」という、ある意味では消極的なフィルタリング方法を採用している。
しかし、本発明はこれに限定されるものではなく、より積極的に、不正クライアントに対して具体的な偽アドレスを送信する形態としても実現することができる。
【００４７】
図７は、図１〜図３を用いて説明した第１のネットワークシステムにおいて、上記より積極的なフィルタリングを適用した際の送信先アドレスの更新処理（Ｓ３０）を示す通信シーケンス図である。
なお、図７は基本的には図４に示す通信シーケンスの変形であり、ハードウエア構成も同じであるため、図４に示した処理と実質的に同じ処理には、同一の符号が付してあり、同一の処理については、説明を省略する。
【００４８】
図７に示される通信シーケンスにおいては、ステップ１０４−１〜１０４−ｎ（Ｓ１０４−１〜Ｓ１０４−ｎ）において、正当なクライアントであるＰＣ１０２−１〜１０２−ｎに対して、更新後の新しい送信先アドレスが送付される。
また、ステップ３００（Ｓ３００）において、それにかわる偽のアドレス（具体的には後述）が、不正なクライアントであるＰＣ１０４に送信される。
【００４９】
なお、ここで正当なＰＣ１０２−１〜１０２−ｎと不正なＰＣ１０４の両方に対して送信アドレス変更を行っているが、不正なアクセスを行っているＰＣ１０４が送信アドレスの変更に追随するものであることが判っているか、あるいは、追随する蓋然性が高い場合などの状況の下では、不正ＰＣに対して偽のアドレスを送るだけでもよい。
また、偽のアドレスの送付先の不正ＰＣはもちろん複数であってよい。
また、複数の不正ＰＣが接続されている場合に、このような不正ＰＣに対して選択的に偽のアドレスの送付を行うこともできる。
例えば、ＤｏＳ攻撃をしかけてくるような不正クライアントについては積極的に偽のアドレスを伝えて、攻撃の矛先を本当のサーバが設置されていてサービスを提供しているネットワークから別の（あるいは存在しない）ネットワークに積極的にそらすことで、ＤｏＳ攻撃により異常に増大したネットワークやサーバの負荷を軽減することができる。
【００５０】
具体的な偽のアドレスとしては、これに限定されるものではないが、以下の３種類があり得る。
ここでは、攻撃の矛先をかわすためにＩＰアドレス部分が重要となり、ポート番号は任意に設定できる（どんな値でもよく、従って以前の送信アドレス中のポート番号と同じであってもよい）。
また、同一の不正ＰＣに、攻撃が止まるまで順番に以下の複数の方法で作成した偽の更新後アドレスを送付していくことも可能である。
【００５１】
（１）第１の偽のアドレス：
ローカルＩＰアドレスをＩＰアドレス部分に用いた偽の更新後の送信先アドレスおよびポート番号(任意)：
例えば、IPv4 ネットワークにおいては、127.0.0.1をＩＰアドレス部に用いた偽のアドレスが、不正クライアントに向けて送信される。
不正ＰＣが自身のアドレスを偽っていなかった場合には、この偽の送信先アドレス更新メッセージはその不正ＰＣまで到達する。
この不正ＰＣが、積極的に更新先アドレスの変更に追従するタイプの動作を行う場合には、更新後のアドレスとして不正ＰＣはローカルＩＰアドレスを以後のアップリンクに関して用いることとなる。
その結果、自らにデータを送信する結果、正当なＰＣに対するサービスを行っているネットワークに対する攻撃の矛先をそらすことが可能となる。
【００５２】
なお、不正アクセスクライアントが自らのアドレスをそもそも偽っていた場合や、更新メッセージを受け取っても、更新後のアドレスに追従しない、あるいは、インテリジェントに動作して偽の送信先アドレスが送付されてきたと判断するようなタイプの不正ＰＣに関しては、ＤｏＳなどの攻撃を直ちに停止させることは不可能である。
しかし、図７に示した通信シーケンスにおいて、これと併用されるステップ１０４−１〜１０４−ｎの消極的な方法により、ステップ１０８の段階で不正ＰＣとサーバとのリンクが切れることとなり、いずれにしても、その不正アクセスを排除することが可能となる。
【００５３】
（２）第２の偽のアドレス：
ネットワーク１００において、ルーティング情報が存在しないアドレス(例えばプライベートＩＰアドレスや、現時点ではサービスを行っていないネットワークに付与されたＩＰアドレス)をＩＰアドレス部分に用いた偽の更新後の送信先アドレスおよびポート番号(任意)：
例えば、インターネットにおけるIPv4 ネットワークにおいては、10.0.0.1や、192.168.0.1などのプライベートアドレス空間、サーバ２への複数のＩＳＰ経由のネットワークのうち、サーバ２の運用業者が正当なクライアントへのサービスに利用していないアドレス、あるいは、リンクをアップしていないアドレス空間が、ＩＰアドレス部分に用いられた偽の更新後の送信先アドレスおよびポート番号(任意)が送付される。
上述した第１の偽のアドレスと同様に、偽のアドレス更新に追従してくるタイプの不正ＰＣからの攻撃は、ネットワーク１００内では転送されることがないため、正規のユーザに対するリソース圧迫を積極的に回避できる。
【００５４】
（３）第３の偽のアドレス：
サーバー運用者などが運用上の理由で)検疫用に設けたネットワークに付与されたＩＰアドレスをＩＰアドレス部分に用いた偽の更新後の送信先アドレスおよびポート番号(任意）：
第３の偽のアドレスは、第１および第２の偽のアドレスと同様に、偽のアドレス更新情報に追従してくるようなタイプのクライアントであって、不正と思われるクライアントに関して、いったん検疫用のネットワークにデータのアップリンク先を変更させることで、さらに詳細な挙動を見たい場合に用いられる。
この観察に基づいて、不正なアクセスをおこなうクライアントかどうかを判断したり、あるいは、不正アクセスの詳細な解析を行ったり不正アクセス元などの証拠となり得るより詳細な記録をとるために、このようなクライアントを、調査用に検疫ネットワークに呼び込み、詳細を観察することが可能となる。
【００５５】
なお、ここでは図４の通信シーケンスの変形を例に挙げて偽のアドレスを不正アクセスを行っているクライアントへ送付する場合を説明しているが、ここで説明した構成、手順は、図６に示すものを含むその他の多様な通信シーケンスに対しても同様に適用することができる。
【００５６】
以上、説明したように、このような送信先アドレスの移行により、不正なアクセスに対するシステムのセキュリティを向上させることができるとともに、正当なユーザに対して、可能な限り、サービスを継続して提供することができる。
また、不正なアクセスを行うクライアントに偽の送信先アドレスを与えて囮のネットワークやサーバに誘導することにより、ＤｏＳ攻撃などのネットワーク上の飽和攻撃に対するシステムの耐性を向上させることもできる。
【産業上の利用可能性】
【００５７】
本発明は、ネットワークにおけるデータの送信のために用いられるアドレスの更新のために利用することができる。
【図面の簡単な説明】
【００５８】
【図１】本発明にかかるアドレス変更方法が適用される第１のネットワークシステムの構成を例示する図である。
【図２】図１に示したネットワークシステムを構成するノードのハードウエアを例示する図である。
【図３】図１に示したサーバ２において実行されるサーバプログラムの構成を示す図である。
【図４】図１などに示した第１のネットワークシステムにおけるＩＰアドレスの更新処理（Ｓ１０）を示す通信シーケンス図である。
【図５】本発明にかかるアドレス変更方法が適用される第２のネットワークシステムの構成を例示する図である。
【図６】図５に示した第２のネットワークシステムの全体的な動作（Ｓ２０）を示す通信シーケンス図である。
【図７】図１〜図３を用いて説明した第１のネットワークシステムにおいて、上記より積極的なフィルタリングを適用した際の送信先アドレスの更新処理（Ｓ３０）を示す通信シーケンス図である。
【符号の説明】
【００５９】
１０，１４・・・ネットワークシステム，
１００・・・ネットワーク，
１０２，１０４・・・ＰＣ，
１２０・・・本体，
１２２・・・ＣＰＵ，
１２４・・・メモリ，
１２６・・・入出力装置，
１２８・・・ネットワークＩＦ，
１３０・・・記録装置，
１３２・・・記録媒体，
１０６，２・・・サーバ，
２０・・・サーバプログラム，
２００・・・通信処理部，
２２・・・サービス提供部，
２４・・・マイグレーション部，
２４０・・・送信先アドレス更新部，
２４２・・・送信先アドレス管理部，
２４４・・・送信先アドレスデータベース，
２４６・・・送信先アドレス通知部，
２４８・・・スケジューリング部，
２６・・・ＱｏＳ制御部，
２６０・・・ＱｏＳ制御実行部，
２６２・・・ＱｏＳ規則管理部，
１０８・・・プロクシサーバ，
１１０・・・ファイアウォール，
【技術分野】
【０００１】
本発明は、データの送信先アドレスを更新するアドレス更新装置およびその方法に関する。
【背景技術】
【０００２】
クライアントコンピュータと、サーバコンピュータとがネットワークを介して接続され、クライアントコンピュータからの要求に応じて、サーバコンピュータが、様々なサービスを提供するクライアントサーバシステムが一般的に利用されている。
このようなシステムにおいて、不正なユーザが、サーバコンピュータへアクセスする可能性がある。
例えば、特許文献１などにより、このような不正アクセスを排除するための方法が、数多く開示されている。
しかしながら、特許文献１に開示された方法では、不正アクセスがあったときに、サービスやポートが一時、閉じられてしまうので、正当なユーザも、サービスを受けられなくなってしまう。
【０００３】
また、非特許文献１は、複数の下層トランスポートを、動的または静的に束ねて仮想的な一つの回線として見せる標準的なインターネットプロトコル（ＲＦＣ２９６０；ＳＣＰＴ）を開示する。
このプロトコルの主な目的は冗長性の強化であり、非特許文献１においては、セキュリティに関する要件の記述もあるが、セキュリティと、帯域制限とを連動させて切換えるための具体的な方法は開示してない。
【特許文献１】特開２００５−２０２７１１号公報
【非特許文献１】http://www.ietf.org/rfc/rfc2960.txt
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は、上述した背景からなされたものであり、システムに対する不正アクセスを有効に排除することができるように工夫されたアドレス更新装置およびその方法を提供することを目的とする。
また、本発明は、さらに、正当なユーザに対するサービスの提供を継続しつつ、不正アクセスを排除することができるように工夫されたアドレス更新装置およびその方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明にかかるアドレス更新装置は、送信先アドレスにデータ送信する１つ以上の送信ノードが正当な送信ノードであるか否かの判断に基づいて前記送信ノードの送信先アドレスを更新させる送信先アドレス更新手段を有する。
【０００６】
また、本発明にかかる通信システムは、送信先アドレスにデータ送信する１つ以上の送信ノードと、前記送信されたデータを受信する１つ以上の受信ノードと、それぞれ前記送信先アドレスを有し、前記送信ノードからのデータを受けて、前記受信ノードのいずれかに対して送信する１つ以上の中間ノードと、アドレス更新装置とを有する通信システムであって、前記アドレス更新装置は、前記中間ノードのいずれかの送信先アドレス更新と、前記送信ノードが正当な送信ノードであるか否かの判断に基づいてこの中間ノードとデータ送信を行う前記送信ノードの送信先アドレスの選択的更新とを行う送信先アドレス更新手段を有する。
【０００７】
また、本発明にかかるアドレス更新方法は、送信先アドレスにデータ送信する１つ以上の送信ノードが正当な送信ノードであるか否かの判断に基づいて前記送信ノードの送信先アドレスを更新させる送信先アドレス更新ステップを有する。
【０００８】
また、本発明にかかるアドレス更新プログラムは、送信先アドレスにデータ送信する１つ以上の送信ノードが正当な送信ノードであるか否かの判断に基づいて前記送信ノードの送信先アドレスを更新させる送信先アドレス更新ステップをコンピュータに実行させる。
【発明の効果】
【０００９】
本発明にかかるアドレス更新装置およびその方法によれば、システムに対する不正アクセスを有効に排除することができる。
また、本発明にかかるアドレス更新装置およびその方法によれば、さらに、正当なユーザに対するサービスの提供を継続しつつ、不正アクセスを排除することができる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の実施形態を説明する。
【００１１】
［不正アクセス］
まず、本発明において重要な概念となる「不正アクセス」を説明する。
不正アクセスは、具体的には、以下のように定義されうる。
（１）セットアップセッション(setup session)なしのサーバコンピュータなどへのアクセス（例えば、いわゆるＤｏＳ(Denial of Service)およびサービス妨害といったアクセス）、および、
（２）セットアップセッションを通じたアクセスであっても、サーバコンピュータなどに、不正なデータ（例えば、送金金額の改ざんなどのためのデータ）を送りつけるようなアクセス。
【００１２】
実際には、アクセス元の意図そのものは、直接には知ることができないので、通常、アクセスの挙動その他の属性などから、各アクセスが、上記のような不正アクセスであるか否かが判断される。
従って、不正アクセスであることが疑われるが、間違いなく不正アクセスであると断定まではできないアクセスが存在するという事態が起こりえる。
どの程度疑わしいアクセスまでが、不正アクセスと判断されるかは、具体的なシステムを構成する際の各種の必要性などに応じて、個別に決定されるべき事項である。
また、このようにして不正アクセスであると判断されたアクセス、また、そのアクセス元について、本願発明にかかるシステムにおいては、更に細分したカテゴリが設けられうる。
たとえば、その疑わしさの程度が比較的小さいカテゴリに属するアクセスなどについては、より詳細な検証が行われうる。
【００１３】
［第１のネットワークシステム１０］
図１は、本発明にかかるアドレス変更方法が適用される第１のネットワークシステム１０の構成を例示する図である。
図１に示すように、第１のネットワークシステム１０は、サーバ２と通信し、サービスの提供を受けるクライアントコンピュータ（ＰＣ）１０２−１〜１０２−ｎ，１０４とが、ＬＡＮ，ＷＡＮなどのネットワーク１００を介して接続されて構成される。
なお、ｎは、１以上の整数を示すが、常に同じ数であるとは限らない。
以下、ＰＣ１０２−１〜１０２−ｎなど、複数あり得る構成部分のいずれかが、特定せずに示されるときには、単にＰＣ１０２などと略記されることがある。
また、以下、ネットワークシステムにおいて、情報処理および通信の主体となりうる装置は、ノードと総称されることがある。
また、以下の各図において、実質的に同じ構成部分には、同じ符号が付される。
【００１４】
以下、説明の具体化および明確化のために、ネットワークシステム１０などにおいて、ＰＣ１０２が正当にサーバ２にアクセスし、クライアントコンピュータ（ＰＣ）１０４が不正にサーバ２にアクセスする場合が具体例とされる。
第１のネットワークシステム１０は、これらの構成部分により、所定のタイミングで、正当なＰＣ１０２のみに対して、サーバ２にデータを送信（アップリンク）するための送信先アドレスの変更を行い、ＰＣ１０４によるサーバ２への不正なアクセスを排除する。
【００１５】
［ハードウエア］
図２は、図１に示したネットワークシステム１０を構成するノードのハードウエアを例示する図である。
図２に示すように、ネットワークシステム１０に含まれるノードは、ＣＰＵ１２２およびメモリ１２４などを含む本体１２０、表示装置およびキーボードなどを含む入出力装置１２６、ネットワーク１００との間の通信のために用いられるネットワークインターフェース（ネットワークＩＦ）１２８、および、ＨＤＤ，ＣＤ，不揮発性メモリなどの記録装置１３０から構成される。
つまり、第１のネットワークシステム１０の各ノードは、情報処理および他のノードとの通信が可能なコンピュータとしての構成部分を有している（図５の参照により後述される第２のネットワークシステム１４の各ノードについても同様）。
【００１６】
［ソフトウエア］
図３は、図１に示したサーバ２において実行されるサーバプログラム２０の構成例を示す図である。
図３に示すように、サーバプログラム２０は、通信処理部２００、サービス提供部２２、マイグレーション部２４およびＱｏＳ(Quality of Service)制御部２６から構成される。
マイグレーション部２４は、送信先アドレス更新部２４０、送信先アドレス管理部２４２、送信先アドレスデータベース（送信先アドレスＤＢ）２４４、送信先アドレス通知部２４６およびスケジューリング部２４８から構成される。
ＱｏＳ制御部２６は、ＱｏＳ制御実行部２６０およびＱｏＳ規則管理部２６２から構成される。
【００１７】
サーバプログラム２０は、例えば、ネットワークインターフェース１２８あるいは記録媒体１３２を介してサーバ２に供給され、メモリ１２４にロードされ、サーバ２にインストールされたＯＳ（図示せず）上で、サーバ２のハードウエア資源を具体的に利用して実行される。
サーバプログラム２０は、これらの構成部分により、正当にサーバ２にアクセスするＰＣ１０２からの要求に応じて、様々な機能を提供する。
【００１８】
また、サーバプログラム２０は、所定のタイミングで、ネットワークシステム１０におけるマイグレーション処理を行い、不正なＰＣ１０４による不正なサーバ２へのアクセスを排除する。
ネットワークシステム１０におけるマイグレーション処理とは、正当にサーバ２にアクセスするＰＣ１０２が、サーバ２へのデータのアップリンクのために用いる送信先アドレスの更新のみを行い、不正にサーバ２にアクセスするＰＣ１０４への送信先アドレスの更新を行わずに、正当なＰＣ１０２によるサーバ２へのアクセスのみを継続させるアドレス更新処理を指す。
この「マイグレーション」という用語は、送信先アドレスの「移行」といった意味を有し、ネットワークマイグレーションといったように、データ通信および情報処理の分野において、一般的に用いられる。
【００１９】
なお、マイグレーション処理により、不正アクセスを行っているＰＣ１０４、または、その疑いのあるＰＣ１０４が用いる送信先アドレスを、偽の送信先アドレスに更新してもよい。
また、これらのようなＰＣ１０４の送信先アドレスを、より詳細な確認を行うための検疫用送信先アドレスに更新し、検疫用送信先アドレスに、これらのようなＰＣ１０４からの送信データを誘導することもできる。
また、さらに、マイグレーション処理において、上述の２種類の更新処理（偽の送信先アドレスへの更新、および、検疫用送信先アドレスへの更新）は組み合わされうる。
【００２０】
送信先アドレスの更新のためには、具体的には、ＩＰアドレスとポート番号の組み合わせが変更される。ＩＰアドレスとポート番号はペアとして扱われる。
例えば、ＩＰｖ４においては、15.1.2.3:5000, 15.1.2.3:5001, 15.1.2.4:5000 といったような空間からの割り当てが行われる。
また、例えば、ＩＰｖ６においては、ＩＰアドレスの部分が、１２８ビットアドレスに変わるだけで、ポート番号の扱いは、ＩＰｖ４の場合と同様である。
以下の説明においては、基本的にはＵＤＰプロトコルが想定され、ＩＰアドレスとポート番号のペアとして、ＩＰアドレスとＵＤＰポート番号のペアが用いられる。
但し、ＵＤＰプロトコルにおいては、上記具体例は 15.1.2.3:5000/udp といった値となる。
同様に、ＴＣＰプロトコル等、ポート番号の概念を持つその他のプロトコルにおいては、ＩＰアドレスとポート番号のペアとして、ＩＰアドレスと当該プロトコルにおけるポート番号（TCPの例ではＴＣＰポート番号）のペアが用いられる。
【００２１】
サーバプログラム２０において、通信処理部２００は、ＰＣ１０２，１０４が、マイグレーション部２４により指定されたアップリンクのためのＩＰアドレスおよびポート番号を用いて、ネットワーク１００を介して送ってきたデータを受信し、サービス提供部２２に対して出力する。
また、通信処理部２００は、同様に、ＰＣ１０２，１０４への（ダウンリンクされる）データを、ネットワーク１００を介してこれらのノードに対して送信する。
【００２２】
また、通信処理部２００は、ＰＣ１０２，１０４の接続情報を、マイグレーション部２４に対して出力する。
この接続情報には、属性情報、グループ分け情報およびプロクシサーバ情報などが含まれる。
属性情報は、ＰＣ１０２，１０４に付された優先順位などを示す。
また、グループ分け情報は、ＰＣ１０２，１０４がグループ分けされているときに、これらのノードそれぞれが、いずれのグループに属するかを示す。
また、プロクシサーバ情報には、ＰＣ１０２，１０４が、プロクシサーバ（図５の参照により後述）を介してサーバ２に接続されているときには、いずれのＰＣ１０２，１０４が、いずれのプロクシサーバに接続されているかを示す。
なお、プロクシサーバが用いられるときには、送信先アドレス（ＩＰアドレスおよびポート番号）が、プロクシサーバに割り当てられ、このプロクシサーバは、リバースプロクシサーバとなる。
このようなときには、通信処理部２００は、プロクシサーバ上と、その背後のサーバにまたがって存在するように見える。
【００２３】
サービス提供部２２は、例えば、Ｗｅｂサーバ、データベースサーバあるいはゲームサーバとしてのサービス機能を実現し、ＰＣ１０２，１０４からの要求に応じて、これらのノードに対して、サービス機能を継続的に提供する。
また、サービス提供部２２は、ＰＣ１０４からの不正アクセスを検出し、不正アクセスの発生を、マイグレーション部２４に対して通知する。
【００２４】
スケジューリング部２４８は、時計機能（図示せず）やパケット計数機能（図示せず）を有し、時計機能により得られる時刻情報と、通信処理部２００から入力されるＰＣ１０２，１０４の接続情報を用いて、マイグレーション処理をスケジューリングし、スケジューリングしたタイミングで、マイグレーション部２４の他の構成部分を制御し、マイグレーション処理を実行させる。
スケジューリング部２４８がマイグレーション処理を実行させるタイミングは、例えば、一定の時間間隔のタイミングで、一定の時刻となったタイミング、あるいは、サービス提供部２２により不正アクセスイベントが検出されたタイミング、一定個数以上のパケットがやりとりされたタイミングなどである。
【００２５】
なお、ＰＣ１０２，１０４が複数あるときには、スケジューリング部２４８は、マイグレーション部２４の他の構成部分に、たとえばサーバに接続を求めてきた順序などのサーバ２の管理者により予め設定された方式に基づく順序で、ＰＣ１０２、１０４それぞれに対する送信先アドレスの更新を行わせる。
あるいは、ＰＣ１０２，１０４が複数あり、これらのノードがグループ分けされているときには、スケジューリング部２４８は、マイグレーション部２４の他の構成部分に、グループごとに、サーバ２の管理者により予め設定された方式に基づく順序で、ＰＣ１０２，１０４それぞれに対するマイグレーション処理を実行させる。
また、ＰＣ１０２，１０４が複数あり、１つ以上のＰＣ１０２，１０４が、１つ以上のプロクシサーバそれぞれを介してサーバ２に接続されるときには、プロクシサーバそれぞれに接続されたＰＣ１０２、１０４ごとに、マイグレーション処理を実行させる。
【００２６】
ここで、不正なＰＣであるはずのＰＣ１０４が、正当なＰＣ１０２と同等に取り扱われている理由は、以下の２つの場合を想定したためである。
（１）不正なＰＣが、何らかの手段で入手された認証情報により認証が獲得されたり、それ以外の手法により認証を潜り抜けたりすることにより、正当なＰＣのように見える状態になってから、不正なアクセスを行う場合、あるいは、
（２）このようなＰＣが、不正なアクセスを始めているのだがまだそれと判断されていない場合。
【００２７】
送信先アドレス管理部２４２は、サーバ２が通信のために使用しうる未使用のＩＰアドレスおよびポート番号、および、サーバ２が通信のために使用している使用済みのＩＰアドレスおよびポート番号を、送信先アドレスＤＢ２４４に記憶し、管理する。
また、送信先アドレス管理部２４２は、送信先アドレスＤＢ２４４に記憶した未使用および使用済みのＩＰアドレスおよびポート番号を、マイグレーション部２４の他の構成部分の処理の用に供する。
なお、送信先アドレス管理部２４２は、ＰＣ１０２，１０４とサーバ２との間がプロクシサーバを介して接続されるときには、プロクシサーバの使用済みのＩＰアドレスおよびポート番号と、未使用のＩＰアドレスおよびポート番号とを、送信先アドレスＤＢ２４４に記憶し、管理する。
【００２８】
送信先アドレス更新部２４０は、スケジューリング部２４８によるスケジューリングに従って、ＰＣ１０２からサーバ２へのデータのアップリンクのために用いられる送信先アドレス、すなわちＩＰアドレスおよび使用されるトランスポートプロトコルが用いるポート番号、例えばＵＤＰポート番号やＴＣＰポート番号、を更新する。
つまり、送信先アドレス更新部２４０は、スケジューリング部２４８が示すタイミングで、未使用のＩＰアドレスおよびポート番号を選択し、ＰＣ１０２からサーバ２へのデータのアップリンクに対して割り当てられているＩＰアドレスおよびポート番号を、選択したＩＰアドレスおよびポート番号に置換する。
さらに、送信先アドレス変更部２４０は、ＩＰアドレスおよびポート番号の更新後、一定期間が経過すると、更新前のＩＰアドレスおよびポート番号を無効とし、通信処理部２００が、これらを用いてのデータのアップリンクを受けないようネットワークを設定する。
送信先アドレス通知部２４６は、送信先アドレス更新部２４０が、ポート番号・ＩＰアドレスを更新したときに、更新されたＩＰアドレス・ポート番号を、正当なＰＣ１０２のみに通知し、不正なＰＣ１０４に通知しない。
【００２９】
データのアップリンクを受けないようにネットワークを設定するためには、具体的には、ネットワーク１００におけるパケットの経路に存在するファイアウォールなどのネットワーク機器の通過許可設定が取り除かれ、パケットが阻止されるようにする。
つまり、ファイアウォールが入った構成で、新規の送信先アドレスを割り当てるときには、その都度、新規の送信アドレスに関しての通過許可設定を行うという処理が必要になる。
さらに概念的に説明すると、例えば、ファイアウォールなどのネットワーク機器は、デフォルトでは、全てのパケットを通過させないように設定され、ある一定期間だけ許可された穴を通って、パケットがサーバに伝送され、送信アドレスが変更された後には、以前にあけた穴が段階的にＱｏＳ設定により狭められていき、最終的には穴がふさがれることで、通過許可設定が取り除かれる。
【００３０】
ＱｏＳ制御部２６のＱｏＳ規則管理部２６２は、ＱｏＳ制御実行部２６０によるＱｏＳ制御の実行のために用いられる規則を記憶し、ＱｏＳ制御実行部２６０に対して出力する。
ＱｏＳ規則管理部２６２が管理する規則は、少なくとも以下（規則１），（規則２）を含む。
（規則１）ＩＰアドレスの更新に伴う制限がないときに、ＰＣ１０２，１０４からサーバ２へのデータのアップリンクのために用いられる伝送帯域（伝送帯域＃１）およびコネクション数（コネクション数＃１）、および、
（規則２）ＩＰアドレスの更新に伴う制限があるときに、ＰＣ１０２，１０４からサーバ２へのデータのアップリンクのために用いられる伝送帯域（伝送帯域＃２＜伝送帯域＃１）およびコネクション数（コネクション数＃２＜コネクション数＃１）。
【００３１】
ＱｏＳ制御実行部２６０は、ＰＣ１０２，１０４とサーバ２との間に存在するネットワーク１００に含まれる各種ネットワーク装置（図示せず）に対する制御を、適宜行う。
つまり、ＱｏＳ制御実行部２６０は、帯域制限装置の動的な設定変更、および、ファイアウォールの動的なポート制御などを行うための指示を、ネットワーク１００中のネットワーク装置に対して、適宜、命令し、実際のパケット処理は行わない。
具体的には、ＱｏＳ制御実行部２６０は、送信先アドレスの更新に伴う制限がないときに、上記ＱｏＳ規則１に従って、ＰＣ１０２，１０４からサーバ２へのデータがアップリンクされるように、ネットワーク１００中のネットワーク装置を制御する。
また、ＱｏＳ制御実行部２６０は、送信先アドレスが更新されてから一定期間が経過するまでの間だけ、上記ＱｏＳ規則２に従って、ＰＣ１０２，１０４からサーバ２へのデータがアップリンクされるように、ネットワーク１００中のネットワーク装置を制御する。
【００３２】
［第１のネットワークシステム１０の全体的な動作］
以下、第１のネットワークシステム１０の全体的な動作を説明する。
図４は、図１などに示した第１のネットワークシステム１０における送信先アドレスの更新処理（Ｓ１０）を示す通信シーケンス図である。
図４に示すように、まず、サーバ２と、ＰＣ１０２との間で、適切な方法により認証が行われる。
【００３３】
ステップ１００（Ｓ１００）において、サーバ２と、ＰＣ１０２，１０４との間で、ＱｏＳ規則１に従ってデータのアップリンクおよびダウンリンクでのデータの送受信が行われ、帯域制限およびコネクション数の制限なしに通信が行われる。
この通信の際に、サービス提供部２２において、不正アクセスの検出、判断が同時に行われる。
また、複数のアクセスのパターンから不正アクセスであるか否かの判断を行うなどの場合には、この判断は必ずしもステップ１００（Ｓ１００）と同時とはならないが、いずれにせよ、この判断は、通常はステップ１００（Ｓ１００）と並行して継続的に行われる。
不正アクセスの検出、判断は、また認証の要求自体や認証なしに行われる各種のアクセスの試行に対しても、継続的に行われる。
【００３４】
ステップ１０２（Ｓ１０２）において、サーバ２上で動作するサーバプログラム２０（図３）のスケジューリング部２４８により、マイグレーション処理がスケジューリングされる。
ステップ１０４−１〜１０４−ｎ（Ｓ１０４−１〜Ｓ１０４−ｎ）において、送信先アドレス更新部２４０により、正当なＰＣ１０２−１〜１０２−ｎからサーバ２へのアップリンクのために用いられるＩＰアドレスおよびポート番号が更新される。
さらに、送信先アドレス通知部２４６により、正当なＰＣ１０２−１〜１０２−ｎに対してのみ、更新されたＩＰアドレスおよびポート番号が通知され、不正なＰＣ１０４に対しては、更新されたＩＰアドレスやポート番号は通知されない。
ＰＣ１０２−１〜１０２−ｎは、順次、サーバ２に対するデータのアップリンクのために、更新後のＩＰアドレスとポート番号のペアを使用する。
【００３５】
ステップ１０６（Ｓ１０６）において、ＱｏＳ制御実行部２６０により、一定期間、ＱｏＳ規則２に従って、更新前の送信先ＩＰアドレスおよびポート番号を用いたＰＣ１０２，１０４からサーバ２へのアップリンクの帯域およびコネクション数が制限される。
一方、ＱｏＳ制御実行部２６０により、この一定期間においても、更新後の送信先ＩＰアドレスおよびポート番号を用いたＰＣ１０２からサーバ２へのアップリンクの帯域およびコネクション数は制限されない。
また、ＱｏＳ制御実行部２６０により、この一定期間においても、サーバ２からＰＣ１０２，１０４へのダウンリンクの帯域およびコネクション数は制限されないが、必要に応じて、ＱｏＳ制御実行部２６０を、この期間に帯域およびコネクションの制限を行うように構成することも可能である。
【００３６】
ステップ１０８（Ｓ１０８）において、ＱｏＳ制御実行部２６０により、一定期間経過後、ＱｏＳ規則３に従って、更新前の送信先アドレスが無効とされ、これを用いたＰＣ１０２，１０４からサーバ２へのアップリンクが禁止される。
従って、更新後の送信先アドレスを用いた正当なＰＣ１０２−１〜１０２−ｎからサーバ２へのデータのアップリンク、および、サーバ２からＰＣ１０２−１〜１０２−ｎへのデータのダウンリンクは、帯域およびコネクションの制限なしに行われる。
一方、不当なＰＣ１０４からサーバ２へのデータのアップリンクは不可能となる。
ステップ１１０（Ｓ１１０）において、サーバ２と不正なＰＣ１０４との間のコネクションが切断される。
なおＳ１０８，Ｓ１１０の処理においては、既に述べたように、ネットワーク１００中のネットワーク機器に、デフォルトでは、全てのパケットを通過させないような設定がなされ、必要に応じて、ネットワーク機器に、新規にパケットの通過を許可する設定が追加されて行き、時間がたつと古い通過ルールが削除される。
【００３７】
［第２のネットワークシステム１４］
以下、第１のネットワークシステム１０の変形例として、第２のネットワークシステム１４を説明する。
図５は、本発明にかかるアドレス変更方法が適用される第２のネットワークシステム１４の構成を例示する図である。
図５に示すように、ネットワークシステム１４は、ＰＣ１０２−１〜１０２−ｎ，１０４−１〜１０４−ｎが接続された第１のネットワーク１００−１と、サーバ１０６−１〜１０６−ｎおよびマイグレーションサーバ３が接続された第２のネットワーク１００−２とが、プロクシサーバ１０８−１〜１０８−ｎおよび１台以上のファイアウォール１１０を介して接続されて構成される。
ネットワークシステム１４は、ＰＣ１０２−１〜１０２−ｎ，１０４−１〜１０４−ｎそれぞれが、ファイアウォール１１０を介して、プロクシサーバ１０８−１〜１０８−ｎそれぞれに設定されたデータのアップリンク用のＩＰアドレスおよびポート番号を用いて、サーバ１０６−１〜１０６−ｎとの間で通信を行い、サービスの提供を受けるように構成されている。
【００３８】
ネットワークシステム１４のファイアウォール１１０は、プロクシサーバ１０８−１〜１０８−ｎに対して、第１のネットワーク１００−１からの不正アクセスを防ぐファイアウォールとしての機能を提供する。
ファイアウォールは、ネットワークの帯域制御装置としての役割をもつことも可能である。
プロクシサーバ１０８は、ＰＣ１０２，１０４とサーバ１０６との間で、キャッシュ機能などを提供する。
【００３９】
また、プロクシサーバ１０８は、それぞれ、マイグレーションサーバ３から、アップリンク用のＩＰアドレスおよびポート番号の設定を受け、このＩＰアドレスおよびポート番号を用いて、ＰＣ１０２，１０４とサーバ１０６との間を接続し、これらの間でデータを中継する。
なお、以下の説明においては、ファイアウォールが、通信の遮断を行う場合を具体例とする。
一方、帯域制御は、実際には、ファイアウォール、プロクシサーバあるいはネットワーク１００自体のいずれが提供する機能によっても実現されうるが、以下の説明においては、ファイアウォールが、帯域制御も行う場合が具体例とされる。
【００４０】
サーバ１０６においては、それぞれサーバプログラム２０（図３）の通信処理部２００およびサービス提供部２２が実行される。
サーバ１０６は、ＰＣ１０２，１０４との間で通信を行い、要求に応じて、様々なサービスを提供する。
マイグレーションサーバ３においては、サーバプログラム２０の通信処理部２００、マイグレーション部２４およびＱｏＳ制御部２６が実行される。
マイグレーションサーバ３は、プロクシサーバ１０８およびＰＣ１０２、１０４それぞれに対するアップリンク用のＩＰアドレスおよびポート番号の更新を行う。
【００４１】
［第２のネットワークシステム１４の全体的な動作］
図６は、図５に示した第２のネットワークシステム１４の全体的な動作（Ｓ２０）を示す通信シーケンス図である。
なお、ネットワークシステム１４においては、任意のＰＣ１０２，１０４、サーバ１０６およびプロクシサーバ１０８の間でファイアウォール１１０を介して通信が行われうるが、説明の明確化および具体化のために、図６においては、サーバ１０６−ｉ（ｉは１〜ｎの整数）と、プロクシサーバ１０８−ｉと、ＰＣ１０２−ｉ，１０４−ｉとの間でファイアウォール１１０−ｉを介して通信が行われる場合が具体例とされている。
図４に示すように、まず、サーバ２と、ＰＣ１０２との間で、適切な方法により認証が行われる。また、不正なＰＣ１０４が、何らかの手段で入手した認証情報を使って認証を獲得したり、あるいはそれ以外の方法で認証を潜り抜けることがある。
ステップ２００−ｉ（Ｓ２００−ｉ）において、サーバ１０６−ｉと、ＰＣ１０２−ｉ，１０４−ｉとの間で、プロクシサーバ１０８−ｉを介して、ＱｏＳ規則１に従って、データのアップリンクおよびダウンリンクが行われ、帯域制限およびコネクション数の制限なしに通信が行われる。
この通信の際に、サービス提供部２２において、図４についての説明と同様に、不正アクセスの検出、判断が同時に行われる。
また、複数のアクセスのパターンから不正アクセスであるか否かの判断を行うなどの場合には、この判断は必ずしもステップ２００−ｉ（Ｓ２００−ｉ）と同時とはならないが、いずれにせよ、この判断は、通常、ステップ２００−ｉ（Ｓ２００−ｉ）と並行して継続的に行われる。
不正アクセスの検出・判断はまた、認証の要求自体や認証なしに行われる各種のアクセスの試行に対しても、継続的に行われる。
【００４２】
ステップ２０２−ｉ（Ｓ２０２−ｉ）において、マイグレーションサーバ３上で動作するサーバプログラム２０（図３）のスケジューリング部２４８により、マイグレーション処理がスケジューリングされる。
ステップ２０４−ｉ（Ｓ２０４−ｉ）において、送信先アドレス更新部２４０により、正当なＰＣ１０２−ｉからプロクシサーバ１０８−ｉへのデータのアップリンクに用いられるＩＰアドレスおよびポート番号が更新される。
【００４３】
また、送信先アドレス通知部２４６により、プロクシサーバ１０８−ｉに対して、更新されたＩＰアドレスおよびポート番号が通知される。
また、正当なＰＣ１０２−ｉに対してのみ、更新されたＩＰアドレスおよびポート番号が通知され、不正なＰＣ１０４−ｉに対しては、更新されたＩＰアドレスおよびポート番号は通知されない。
ＰＣ１０２−ｉは、プロクシサーバ１０８−ｉに対するデータのアップリンクのために、更新後のＩＰアドレスとポート番号のペアを使用する。
【００４４】
ステップ２０６−ｉ（Ｓ２０６−ｉ）において、ＱｏＳ制御実行部２６０により、一定期間、ＱｏＳ規則２に従って、更新前のＩＰアドレスとポート番号のペアを用いたＰＣ１０２−ｉ，１０４−ｉからプロクシサーバ１０８−ｉへのアップリンクの帯域およびコネクション数が制限される。
一方、ＱｏＳ制御実行部２６０により、この一定期間においても、ＱｏＳ規則３に従って、ファイアウォール１１０−ｉに更新後のＩＰアドレスとポート番号のペアを用いたプロクシサーバ１０８−iへの通信路が新規に開設される。
さらに、ＰＣ１０２−ｉからプロクシサーバ１０８−ｉへのアップリンクの帯域およびコネクション数は制限されない。
また、ＱｏＳ制御実行部２６０により、この一定期間においても、プロクシサーバ１０８−ｉからＰＣ１０２−ｉ，１０４−ｉへのダウンリンクの帯域およびコネクション数は制限されない。
【００４５】
ステップ２０８−ｉ（Ｓ２０８−ｉ）において、ＱｏＳ制御実行部２６０により、一定期間経過後、更新前のＩＰアドレスとポート番号のペアが無効とされ、ファイアウォール１１０−ｉにあけられていたこのペアに対応する通信路が閉じられる。
これを用いたＰＣ１０２−ｉ，１０４−ｉからプロクシサーバ１０８−ｉへのアップリンクが禁止される。
これにより、更新後のＩＰアドレスを用いた正当なＰＣ１０２−ｉからプロクシサーバ１０８−ｉへのデータのアップリンク、および、プロクシサーバ１０８−ｉからＰＣ１０２−ｉへのデータのダウンリンクは、帯域およびコネクションの制限なしに行われる。
一方、不正なＰＣ１０４−ｉからプロクシサーバ１０８−ｉへのデータのアップリンクは不可能となる。
ステップ２１０−ｉ（Ｓ２１０−ｉ）において、タイムアウトなどにより、プロクシサーバ１０８−ｉと不正なＰＣ１０４−ｉとの間のコネクションが切断される。
【００４６】
以上説明した本発明にかかるシステムは、不正クライアント、つまり、不正アクセスを行っている、または、そうであると疑われるクライアントに関して、図４に示したように、「更新後の送信先アドレスを不正クライアントに送信しない」という、ある意味では消極的なフィルタリング方法を採用している。
しかし、本発明はこれに限定されるものではなく、より積極的に、不正クライアントに対して具体的な偽アドレスを送信する形態としても実現することができる。
【００４７】
図７は、図１〜図３を用いて説明した第１のネットワークシステムにおいて、上記より積極的なフィルタリングを適用した際の送信先アドレスの更新処理（Ｓ３０）を示す通信シーケンス図である。
なお、図７は基本的には図４に示す通信シーケンスの変形であり、ハードウエア構成も同じであるため、図４に示した処理と実質的に同じ処理には、同一の符号が付してあり、同一の処理については、説明を省略する。
【００４８】
図７に示される通信シーケンスにおいては、ステップ１０４−１〜１０４−ｎ（Ｓ１０４−１〜Ｓ１０４−ｎ）において、正当なクライアントであるＰＣ１０２−１〜１０２−ｎに対して、更新後の新しい送信先アドレスが送付される。
また、ステップ３００（Ｓ３００）において、それにかわる偽のアドレス（具体的には後述）が、不正なクライアントであるＰＣ１０４に送信される。
【００４９】
なお、ここで正当なＰＣ１０２−１〜１０２−ｎと不正なＰＣ１０４の両方に対して送信アドレス変更を行っているが、不正なアクセスを行っているＰＣ１０４が送信アドレスの変更に追随するものであることが判っているか、あるいは、追随する蓋然性が高い場合などの状況の下では、不正ＰＣに対して偽のアドレスを送るだけでもよい。
また、偽のアドレスの送付先の不正ＰＣはもちろん複数であってよい。
また、複数の不正ＰＣが接続されている場合に、このような不正ＰＣに対して選択的に偽のアドレスの送付を行うこともできる。
例えば、ＤｏＳ攻撃をしかけてくるような不正クライアントについては積極的に偽のアドレスを伝えて、攻撃の矛先を本当のサーバが設置されていてサービスを提供しているネットワークから別の（あるいは存在しない）ネットワークに積極的にそらすことで、ＤｏＳ攻撃により異常に増大したネットワークやサーバの負荷を軽減することができる。
【００５０】
具体的な偽のアドレスとしては、これに限定されるものではないが、以下の３種類があり得る。
ここでは、攻撃の矛先をかわすためにＩＰアドレス部分が重要となり、ポート番号は任意に設定できる（どんな値でもよく、従って以前の送信アドレス中のポート番号と同じであってもよい）。
また、同一の不正ＰＣに、攻撃が止まるまで順番に以下の複数の方法で作成した偽の更新後アドレスを送付していくことも可能である。
【００５１】
（１）第１の偽のアドレス：
ローカルＩＰアドレスをＩＰアドレス部分に用いた偽の更新後の送信先アドレスおよびポート番号(任意)：
例えば、IPv4 ネットワークにおいては、127.0.0.1をＩＰアドレス部に用いた偽のアドレスが、不正クライアントに向けて送信される。
不正ＰＣが自身のアドレスを偽っていなかった場合には、この偽の送信先アドレス更新メッセージはその不正ＰＣまで到達する。
この不正ＰＣが、積極的に更新先アドレスの変更に追従するタイプの動作を行う場合には、更新後のアドレスとして不正ＰＣはローカルＩＰアドレスを以後のアップリンクに関して用いることとなる。
その結果、自らにデータを送信する結果、正当なＰＣに対するサービスを行っているネットワークに対する攻撃の矛先をそらすことが可能となる。
【００５２】
なお、不正アクセスクライアントが自らのアドレスをそもそも偽っていた場合や、更新メッセージを受け取っても、更新後のアドレスに追従しない、あるいは、インテリジェントに動作して偽の送信先アドレスが送付されてきたと判断するようなタイプの不正ＰＣに関しては、ＤｏＳなどの攻撃を直ちに停止させることは不可能である。
しかし、図７に示した通信シーケンスにおいて、これと併用されるステップ１０４−１〜１０４−ｎの消極的な方法により、ステップ１０８の段階で不正ＰＣとサーバとのリンクが切れることとなり、いずれにしても、その不正アクセスを排除することが可能となる。
【００５３】
（２）第２の偽のアドレス：
ネットワーク１００において、ルーティング情報が存在しないアドレス(例えばプライベートＩＰアドレスや、現時点ではサービスを行っていないネットワークに付与されたＩＰアドレス)をＩＰアドレス部分に用いた偽の更新後の送信先アドレスおよびポート番号(任意)：
例えば、インターネットにおけるIPv4 ネットワークにおいては、10.0.0.1や、192.168.0.1などのプライベートアドレス空間、サーバ２への複数のＩＳＰ経由のネットワークのうち、サーバ２の運用業者が正当なクライアントへのサービスに利用していないアドレス、あるいは、リンクをアップしていないアドレス空間が、ＩＰアドレス部分に用いられた偽の更新後の送信先アドレスおよびポート番号(任意)が送付される。
上述した第１の偽のアドレスと同様に、偽のアドレス更新に追従してくるタイプの不正ＰＣからの攻撃は、ネットワーク１００内では転送されることがないため、正規のユーザに対するリソース圧迫を積極的に回避できる。
【００５４】
（３）第３の偽のアドレス：
サーバー運用者などが運用上の理由で)検疫用に設けたネットワークに付与されたＩＰアドレスをＩＰアドレス部分に用いた偽の更新後の送信先アドレスおよびポート番号(任意）：
第３の偽のアドレスは、第１および第２の偽のアドレスと同様に、偽のアドレス更新情報に追従してくるようなタイプのクライアントであって、不正と思われるクライアントに関して、いったん検疫用のネットワークにデータのアップリンク先を変更させることで、さらに詳細な挙動を見たい場合に用いられる。
この観察に基づいて、不正なアクセスをおこなうクライアントかどうかを判断したり、あるいは、不正アクセスの詳細な解析を行ったり不正アクセス元などの証拠となり得るより詳細な記録をとるために、このようなクライアントを、調査用に検疫ネットワークに呼び込み、詳細を観察することが可能となる。
【００５５】
なお、ここでは図４の通信シーケンスの変形を例に挙げて偽のアドレスを不正アクセスを行っているクライアントへ送付する場合を説明しているが、ここで説明した構成、手順は、図６に示すものを含むその他の多様な通信シーケンスに対しても同様に適用することができる。
【００５６】
以上、説明したように、このような送信先アドレスの移行により、不正なアクセスに対するシステムのセキュリティを向上させることができるとともに、正当なユーザに対して、可能な限り、サービスを継続して提供することができる。
また、不正なアクセスを行うクライアントに偽の送信先アドレスを与えて囮のネットワークやサーバに誘導することにより、ＤｏＳ攻撃などのネットワーク上の飽和攻撃に対するシステムの耐性を向上させることもできる。
【産業上の利用可能性】
【００５７】
本発明は、ネットワークにおけるデータの送信のために用いられるアドレスの更新のために利用することができる。
【図面の簡単な説明】
【００５８】
【図１】本発明にかかるアドレス変更方法が適用される第１のネットワークシステムの構成を例示する図である。
【図２】図１に示したネットワークシステムを構成するノードのハードウエアを例示する図である。
【図３】図１に示したサーバ２において実行されるサーバプログラムの構成を示す図である。
【図４】図１などに示した第１のネットワークシステムにおけるＩＰアドレスの更新処理（Ｓ１０）を示す通信シーケンス図である。
【図５】本発明にかかるアドレス変更方法が適用される第２のネットワークシステムの構成を例示する図である。
【図６】図５に示した第２のネットワークシステムの全体的な動作（Ｓ２０）を示す通信シーケンス図である。
【図７】図１〜図３を用いて説明した第１のネットワークシステムにおいて、上記より積極的なフィルタリングを適用した際の送信先アドレスの更新処理（Ｓ３０）を示す通信シーケンス図である。
【符号の説明】
【００５９】
１０，１４・・・ネットワークシステム，
１００・・・ネットワーク，
１０２，１０４・・・ＰＣ，
１２０・・・本体，
１２２・・・ＣＰＵ，
１２４・・・メモリ，
１２６・・・入出力装置，
１２８・・・ネットワークＩＦ，
１３０・・・記録装置，
１３２・・・記録媒体，
１０６，２・・・サーバ，
２０・・・サーバプログラム，
２００・・・通信処理部，
２２・・・サービス提供部，
２４・・・マイグレーション部，
２４０・・・送信先アドレス更新部，
２４２・・・送信先アドレス管理部，
２４４・・・送信先アドレスデータベース，
２４６・・・送信先アドレス通知部，
２４８・・・スケジューリング部，
２６・・・ＱｏＳ制御部，
２６０・・・ＱｏＳ制御実行部，
２６２・・・ＱｏＳ規則管理部，
１０８・・・プロクシサーバ，
１１０・・・ファイアウォール，
【特許請求の範囲】
【請求項１】
送信先アドレスにデータ送信する１つ以上の送信ノードが、正当な送信ノードであるか否かに基づいて、選択的に前記送信ノードの送信先アドレスを更新させる送信先アドレス更新手段
を有するアドレス変更装置。
【請求項２】
前記更新手段は、正当な送信ノードであると判断された前記送信ノードの送信先アドレスを更新させる
請求項１に記載のアドレス更新装置。
【請求項３】
前記更新手段は、正当な送信ノードであるとは判断されなかった前記送信ノードの送信先アドレスを更新させる
請求項１または２に記載のアドレス変更装置。
【請求項４】
更新後の前記送信アドレスは、偽のアドレスである
請求項３に記載のアドレス変更装置。
【請求項５】
更新前の前記送信先アドレスにデータ送信する送信ノードの全てに対して、所定の期間だけ、前記更新前の送信先アドレスへのデータ送信の帯域を制限する帯域制限手段
をさらに有する請求項１〜４のいずれかに記載のアドレス更新装置。
【請求項６】
前記送信先アドレス更新手段は、前記所定の期間の経過後、更新前の前記送信先アドレスを、データ送信について無効にする
請求項１〜５のいずれかに記載のアドレス更新装置。
【請求項７】
所定のタイミングで、前記送信先アドレス更新手段を制御して、前記送信先アドレスの更新を行わせるスケジューリング手段
をさらに有する請求項１〜６のいずれかに記載のアドレス更新装置。
【請求項８】
前記送信ノードは、１つ以上にグループ分けされ、
前記スケジューリング手段は、前記送信先アドレス更新手段を制御して、前記送信先アドレスの更新を、前記送信ノードのグループごとに行わせる
請求項７に記載のアドレス更新装置。
【請求項９】
前記送信ノードは、複数あり、
前記スケジューリング手段は、前記送信先アドレス更新手段を制御して、前記送信先アドレスの更新を、前記複数の送信ノードに対して、所定の順番で行わせる
請求項８に記載のアドレス更新装置。
【請求項１０】
前記送信先アドレスは、複数あり、
前記送信ノードは、複数あり、
前記複数の送信ノードのそれぞれは、前記複数の送信先アドレスの１つ以上にデータ送信を行い、
前記スケジューリング手段は、前記送信先アドレス更新手段を制御して、同一の送信先アドレスにデータ送信する送信ノードごとに、前記送信先アドレスの更新を行わせる
請求項８に記載のアドレス更新装置。
【請求項１】
送信先アドレスにデータ送信する１つ以上の送信ノードが、正当な送信ノードであるか否かに基づいて、選択的に前記送信ノードの送信先アドレスを更新させる送信先アドレス更新手段
を有するアドレス変更装置。
【請求項２】
前記更新手段は、正当な送信ノードであると判断された前記送信ノードの送信先アドレスを更新させる
請求項１に記載のアドレス更新装置。
【請求項３】
前記更新手段は、正当な送信ノードであるとは判断されなかった前記送信ノードの送信先アドレスを更新させる
請求項１または２に記載のアドレス変更装置。
【請求項４】
更新後の前記送信アドレスは、偽のアドレスである
請求項３に記載のアドレス変更装置。
【請求項５】
更新前の前記送信先アドレスにデータ送信する送信ノードの全てに対して、所定の期間だけ、前記更新前の送信先アドレスへのデータ送信の帯域を制限する帯域制限手段
をさらに有する請求項１〜４のいずれかに記載のアドレス更新装置。
【請求項６】
前記送信先アドレス更新手段は、前記所定の期間の経過後、更新前の前記送信先アドレスを、データ送信について無効にする
請求項１〜５のいずれかに記載のアドレス更新装置。
【請求項７】
所定のタイミングで、前記送信先アドレス更新手段を制御して、前記送信先アドレスの更新を行わせるスケジューリング手段
をさらに有する請求項１〜６のいずれかに記載のアドレス更新装置。
【請求項８】
前記送信ノードは、１つ以上にグループ分けされ、
前記スケジューリング手段は、前記送信先アドレス更新手段を制御して、前記送信先アドレスの更新を、前記送信ノードのグループごとに行わせる
請求項７に記載のアドレス更新装置。
【請求項９】
前記送信ノードは、複数あり、
前記スケジューリング手段は、前記送信先アドレス更新手段を制御して、前記送信先アドレスの更新を、前記複数の送信ノードに対して、所定の順番で行わせる
請求項８に記載のアドレス更新装置。
【請求項１０】
前記送信先アドレスは、複数あり、
前記送信ノードは、複数あり、
前記複数の送信ノードのそれぞれは、前記複数の送信先アドレスの１つ以上にデータ送信を行い、
前記スケジューリング手段は、前記送信先アドレス更新手段を制御して、同一の送信先アドレスにデータ送信する送信ノードごとに、前記送信先アドレスの更新を行わせる
請求項８に記載のアドレス更新装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００７−１７２０９３（Ｐ２００７−１７２０９３Ａ）
【公開日】平成１９年７月５日（２００７．７．５）
【国際特許分類】
【出願番号】特願２００５−３６５７５２（Ｐ２００５−３６５７５２）
【出願日】平成１７年１２月２０日（２００５．１２．２０）
【出願人】（５０３００３８５４）ヒューレット−パッカード デベロップメント カンパニー エル．ピー． (1,145)
【Ｆターム（参考）】
【公開日】平成１９年７月５日（２００７．７．５）
【国際特許分類】
【出願日】平成１７年１２月２０日（２００５．１２．２０）
【出願人】（５０３００３８５４）ヒューレット−パッカード デベロップメント カンパニー エル．ピー． (1,145)
【Ｆターム（参考）】
[ Back to top ]